latest

Releases:

PDF HTML Excel XML ZIP
latest



Elektronische Gesundheitskarte und Telematikinfrastruktur




Verzeichnis von Anforderungen
Prüfvorschrift

Zero Trust Access (ZETA)
Guard


    

     

      Anbietertyp Version
      1.0.0
     

     

      Anbietertyp Status
      freigegeben
     

    


    

     

      Version
      1.0.0
     

     

      Revision
      1155229
     

     

      Stand
      28.02.2025
     

     

      Status
      freigegeben
     

     

      Klassifizierung
      öffentlich
     

     

      Referenzierung
      gemVZ_Afo_ZETA_Guard_V_1.0.0

Historie Verzeichnisversion und Verzeichnis-Steckbrief

Historie Verzeichnisversion

Die Verzeichnisversion ändert sich, wenn sich die normativen Festlegungen für den Hersteller ändern.

Verzeichnisversion
 Beschreibung der Änderung
 Referenz
1.0.0 Initiale Version auf Dokumentenebene   [gemVZ_Afo_ZT_Guard_V_1.0.0]

Historie Steckbrief

Die Dokumentenversion des Steckbriefs ändert sich mit jeder inhaltlichen oder redaktionellen Änderung des Steckbriefs und seinen referenzierten Dokumenten. Redaktionelle Änderungen haben keine Auswirkung auf die Verzeichnisversion.

Version
 Stand
 Kap.
 Grund der Änderung, besondere Hinweise
 Bearbeiter
1.0.0
 28.02.2025 freigegeben gematik

Inhaltsverzeichnis

1 Einführung

1.1 Zielsetzung und Einordnung des Dokumentes

Verzeichnissteckbriefe verzeichnen verbindlich die normativen Festlegungen der gematik an Hersteller zur Entwicklung der von ihnen verantworteten Komponenten.

Die normativen Festlegungen werden über ihren Identifier, ihren Titel sowie die Dokumentenquelle referenziert. Die normativen Festlegungen mit ihrem vollständigen, normativen Inhalt sind dem jeweils referenzierten Dokument zu entnehmen.

1.2 Zielgruppe

Der Steckbrief richtet sich an:

  • Hersteller von Zero Trust-Komponenten
  • die gematik im Rahmen der Zulassungsverfahren, Bestätigungsverfahren, Kooperationsverträge und Anbieterverfahren.

1.3 Geltungsbereich

Dieses Dokument enthält normative Festlegungen zur Telematikinfrastruktur des deutschen Gesundheitswesens. Der Gültigkeitszeitraum der vorliegenden Version und deren Anwendung in Zulassungsverfahren werden durch die gematik GmbH in gesonderten Dokumenten (z. B. gemPTV_ATV_Festlegungen) festgelegt und bekannt gegeben.

1.4 Abgrenzung des Dokumentes

Dieses Dokument macht keine Aussagen zur Aufteilung der Produktentwicklung bzw. Produktherstellung auf verschiedene Hersteller und Anbieter.

Dokumente zu den Zulassungsverfahren sind nicht aufgeführt. Die geltenden Verfahren und Regelungen zur Beantragung und Durchführung von Zulassungsverfahren können dem Fachportal der gematik (https://fachportal.gematik.de/downloadcenter/zulassungs-bestaetigungsantraege-verfahrensbeschreibungen) entnommen werden.

1.5 Methodik

Die im Dokument verzeichneten normativen Festlegungen werden tabellarisch dargestellt. Die Tabellenspalten haben die folgende Bedeutung:

ID: Identifiziert die normative Festlegung eindeutig im Gesamtbestand aller Festlegungen der gematik.

Bezeichnung: Gibt den Titel einer normativen Festlegung informativ wieder, um die thematische Einordnung zu erleichtern. Der vollständige Inhalt der normativen Festlegung ist dem Dokument zu entnehmen, auf das die Quellenangabe verweist.

Quelle (Referenz): Verweist auf das Dokument, das die normative Festlegung definiert.

2 Dokumente

Die nachfolgenden Dokumente enthalten alle in Kapitel   aufgeführten Festlegungen. 

Tabelle 1: Dokumente mit normativen Festlegungen

Dokumentenkürzel Bezeichnung des Dokumentes Version
gemSpec_DS_Hersteller Spezifikation Datenschutz- und Sicherheitsanforderungen der TI an Hersteller 1.6.0
gemSpec_Krypt Übergreifende Spezifikation Verwendung kryptographischer Algorithmen in der Telematikinfrastruktur 2.38.0
gemSpec_ZETA Spezifikation Zero Trust Access (ZETA) 1.0.0

Weiterhin sind die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte normativ und gelten mit.

Tabelle 2: Mitgeltende Dokumente und Web-Inhalte

Quelle Herausgeber: Bezeichnung / URL  Version 
Branch / Tag

Die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte sind informative Beistellungen und sind nicht Gegenstand der Bestätigung / Zulassung. 

Tabelle 3: Informative Dokumente und Web-Inhalte

Quelle Herausgeber: Bezeichnung / URL Version 
Branch / Tag
[gemRL_PruefSichEig_DS] gematik: Richtlinie zur Prüfung der Sicherheitseignung
https://fachportal.gematik.de/fileadmin/Fachportal/Sicherheitsgutachter/gemRL_PruefSichEig_DS_V2.2.0.pdf		 2.2.0

Hinweis:

  • Ist kein Herausgeber angegeben, wird angenommen, dass die gematik für Herausgabe und Veröffentlichung der Quelle verantwortlich ist. 
  • Ist keine Version angegeben, bezieht sich die Quellenangabe auf die aktuellste Version.
  • Bei Quellen aus gitHub werden als Version Branch und / oder Tag verwendet. 

3 Normative Festlegungen

Die folgenden Abschnitte verzeichnen alle für diesen Hersteller normativen Festlegungen der gematik an Hersteller zur Sicherstellung des Betriebes der von ihnen verantworteten Serviceeinheiten. Die Festlegungen sind gruppiert nach der Art der Nachweisführung ihrer Erfüllung als Grundlage der Zulassung.

<Nicht benötigte Kapitel entfernen:>

3.1 Festlegungen zur funktionalen Eignung

3.1.1 Produkttest/Produktübergreifender Test

In diesem Abschnitt sind alle funktionalen und nicht-funktionalen Festlegungen verzeichnet, deren Umsetzung im Zuge von Zulassungstests durch die gematik geprüft wird.

Tabelle 4: Festlegungen zur funktionalen Eignung "Produkttest/Produktübergreifender Test"

ID Bezeichnung Quelle (Referenz)
A_18464 TLS-Verbindungen, nicht Version 1.1 gemSpec_Krypt
A_21275-01 TLS-Verbindungen, zulässige Hashfunktionen bei Signaturen im TLS-Handshake gemSpec_Krypt
GS-A_4384-03 TLS-Verbindungen gemSpec_Krypt
GS-A_5526 TLS-Renegotiation-Indication-Extension gemSpec_Krypt
GS-A_5542 TLS-Verbindungen (fatal Alert bei Abbrüchen) gemSpec_Krypt
A_25337 Hersteller Clientsystem - Registrierung für product_id gemSpec_ZETA
A_25338 ZETA Client - Identifikation mittels product_id gemSpec_ZETA
A_25340 ZETA Client- Zertifikatsprüfung gemSpec_ZETA
A_25432 ZETA Client - Ablauf Clientregistrierung gemSpec_ZETA
A_25434 ZETA Client - Clientregistrierung mit bestätigten Umgebungseigenschaften Android gemSpec_ZETA
A_25453 PDP - Transparenz der installierte Policies gemSpec_ZETA
A_25644 PDP Client Registry - Mobile Attestation gemSpec_ZETA
A_25645 PDP Client Registry - Attestation mittels TI-Smartcard gemSpec_ZETA
A_25648 PDP Client Registry - Device Session Credentials gemSpec_ZETA
A_25649 PDP Client Registry - Regelmäßige Wiederholung der Attestation gemSpec_ZETA
A_25650 PDP Client Registry - TI-Identität in Attestation gemSpec_ZETA
A_25651 PDP Client Registry - Offband Nutzer Verification gemSpec_ZETA
A_25652 ZETA Guard - Push Gateway gemSpec_ZETA
A_25653 PDP Client Registry - Umsetzung der Device Policy gemSpec_ZETA
A_25654 PDP Client Registry - Minimum Device Policy gemSpec_ZETA
A_25656 PDP - Entity Statement gemSpec_ZETA
A_25657 PDP - Authentication über sektoralen IDP gemSpec_ZETA
A_25658 PDP - Authentication über SmartCard IDP gemSpec_ZETA
A_25660 PDP Authorization Server - Session Management mittels Access Token und Refresh Token gemSpec_ZETA
A_25661 PDP Authorization Server - Umsetzung der Policy Decision gemSpec_ZETA
A_25662 PDP Authorization Server - Refresh Token Rotation gemSpec_ZETA
A_25663 PDP Authorization Server - Token-Binding an Device-Registration gemSpec_ZETA
A_25664 PDP Authorization Server - Token Laufzeit gemäß Policy gemSpec_ZETA
A_25665 PDP Authorization Server - Plugin-Schnittstelle Application Authorization Backend gemSpec_ZETA
A_25669 PEP HTTP Proxy - Zusätzliche HTTP-Header gemSpec_ZETA
A_25670 PIP und PAP - Bereitstellung Download-Endpunkt gemSpec_ZETA
A_25671 PIP und PAP - TLS am Download-Endpunkt gemSpec_ZETA
A_25674 PIP und PAP - OPA Bundle Signaturprüfung gemSpec_ZETA
A_25733 ZETA Client - Clientverwaltung und manuelle De-Registrierung gemSpec_ZETA
A_25735 Clientsystem - Aktivierung Push-Benachrichtigung gemSpec_ZETA
A_25738 PDP Client Registry - Telemetrie Clientregistrierung gemSpec_ZETA
A_25739 PDP, Open Policy Agent Instanzen gemSpec_ZETA
A_25748 PDP Client Registry - Maximale Anzahl von Geräten gemSpec_ZETA
A_25752 PDP Client Registry - Nutzer über Hintergrund zur Ablehnung der Gerätregistrierung informieren gemSpec_ZETA
A_25758 ZETA Client - Erfassung Kontaktinformation für Offband-Verifikation gemSpec_ZETA
A_25760 PDP Authorization Server - OAuth2 Schnittstellen gemSpec_ZETA
A_25761 ZETA Client - Nutzerauthentifizierung mittels etablierter Standards gemSpec_ZETA
A_25762 ZETA Client - Nutzerauthentifizierung - Unterstützung etablierter Identitäten und Dienste gemSpec_ZETA
A_25766 ZETA Client - Client Credentials in TI Qualität gemSpec_ZETA
A_25767 ZETA Client - Clientkey in JWT gemSpec_ZETA
A_25768 ZETA Client - Clientregistrierung mit bestätigten Umgebungseigenschaften Apple gemSpec_ZETA
A_25783 ZETA Client - Anweisungen aus HTTP Response Status Codes und Header folgen gemSpec_ZETA
A_25784 ZETA Guard-Komponenten - Download von Aktualisierungen im Hintergrund gemSpec_ZETA
A_25785 ZETA Guard-Komponenten - Nahtloser Übergang zu neuen Versionen gemSpec_ZETA
A_25786 ZETA Guard-Komponenten - Abschluss von Transaktionen vor Aktualisierung gemSpec_ZETA
A_25788 ZETA Guard-Komponenten - Unterstützung von Rollbacks gemSpec_ZETA
A_25789 ZETA Guard-Komponenten - Schnelle Rollback-Durchführung gemSpec_ZETA
A_25790 ZETA Guard-Komponenten - Aktivierung/Deaktivierung von Funktionen in Echtzeit gemSpec_ZETA
A_25794 ZETA Guard-Komponenten - Implementierung von Health Checks gemSpec_ZETA
A_25795 ZETA Guard-Komponenten - Automatische Antwort auf Health Check Anfragen gemSpec_ZETA
A_25796 ZETA Guard-Komponenten - Bereitstellung von Zustandsinformationen gemSpec_ZETA
A_25798 ZETA Guard-Komponenten - Regelmäßige Selbstüberprüfung gemSpec_ZETA
A_25799 ZETA Guard-Komponenten - Protokollierung von Health Check Ergebnissen gemSpec_ZETA
A_26037 PDP Authorization Server, Well-known für PDP Authorization Server gemSpec_ZETA
A_26090 PDP Authorization Server, Well-known Erstellung gemSpec_ZETA
A_26091 ZETA Guard, SM(C)-B Authentifizierung mit DPoP gemSpec_ZETA
A_26104 ZETA Guard-Komponenten - Protokollieren von Änderungen gemSpec_ZETA
A_26195 PEP HTTP Proxy - Unterstützung Websocket gemSpec_ZETA
A_26281 PDP - kurzlebige Zertifikate gemSpec_ZETA
A_26477 PEP HTTP Proxy - PoPP Token Validierung gemSpec_ZETA
A_26486 PEP HTTP Proxy - Performance gemSpec_ZETA
A_26487 PEP HTTP Proxy -Skalierbarkeit gemSpec_ZETA
A_26488 PEP HTTP Proxy - Last gemSpec_ZETA
A_26489 PDP Authorization Server - Performance gemSpec_ZETA
A_26490 PDP Authorization Server - Skalierbarkeit gemSpec_ZETA
A_26491 PDP Authorization Server - Last gemSpec_ZETA
A_26492 PEP HTTP Proxy - Weiterleitung von Client-Daten gemSpec_ZETA
A_26493 PEP HTTP Proxy - Umgang mit JWKS des Popp Servers gemSpec_ZETA
A_26560 PEP HTTP Proxy - Weiterleitungskonfiguration gemSpec_ZETA
A_26561 PEP HTTP Proxy - Caching gemSpec_ZETA
A_26585 PDP Client Registry - Client-Daten gemSpec_ZETA
A_26586 PDP Authorization Server - Session- und Nutzer-Daten gemSpec_ZETA
A_26587 PDP Datenbank - Schnittstellen gemSpec_ZETA
A_26588 PDP Datenbank - Konfiguration gemSpec_ZETA
A_26589 PEP HTTP Proxy - Nutzer-Daten gemSpec_ZETA
A_26590 PEP HTTP Proxy - Client-Daten gemSpec_ZETA
A_26639 ZETA Guard - Unterstützung Websocket gemSpec_ZETA
A_26640 ZETA Guard - HTTP Protokoll-Versionen gemSpec_ZETA
A_26641 PEP HTTP Proxy - HTTP Protokoll-Versionen gemSpec_ZETA
A_26661 ZETA Guard - HTTP Statuscodes gemSpec_ZETA
A_26662 ZETA Guard, HTTP Fehlerdetails gemSpec_ZETA
A_26666 PEP HTTP Proxy - TLS Terminierung gemSpec_ZETA
A_26668 PDP Client Registry - Rate Limit gemSpec_ZETA
A_26669 PDP Authorization Server - TLS Terminierung gemSpec_ZETA
A_26670 PDP Client Registry - TLS Terminierung gemSpec_ZETA
A_26902 PDP Authorization Server - Rate Limit gemSpec_ZETA
A_26944 PDP Authorization Server - Access Token Inhalt gemSpec_ZETA
A_26945 PDP Authorization Server - Refresh Token Inhalt gemSpec_ZETA
A_26964 ZETA Guard - OCSP Stapling gemSpec_ZETA
A_26972 PDP Authorization Server - Nutzer-Daten aus der SM(C)-B gemSpec_ZETA
A_26973 DP Authorization Server - Nutzer-Daten aus id_token gemSpec_ZETA
A_26974 PEP HTTP Proxy - Fehler vom Resource Server gemSpec_ZETA
A_26988 Telemetrie-Daten Service - Fehlermeldungen gemSpec_ZETA
A_27007 ZETA Client - HTTP Statuscodes gemSpec_ZETA
A_27260 ZETA Guard, Telemetrie-Daten Service, Weitergabe der Daten ohne Profilbildung gemSpec_ZETA
A_27261 ZETA Guard, Telemetrie-Daten Service, Protokoll gemSpec_ZETA
A_27264 ZETA Guard, Telemetrie-Daten gemSpec_ZETA
A_27265 PEP HTTP Proxy - unveränderte Weiterleitung von Host Header und Request Zeile gemSpec_ZETA
A_27266 PEP HTTP Proxy - Protected Resource Metadata Well-known gemSpec_ZETA
A_27399 PDP Datenbank - Löschfristen gemSpec_ZETA
A_27401 PDP Policy Engine - Decision Eigenschaften gemSpec_ZETA
A_27492 ZETA Guard, OpenTelemetry Unterstützung gemSpec_ZETA
A_27496 Zeta Guard-Komponenten - Aufbereitung von Client Registry Daten zum Monitoring gemSpec_ZETA

3.1.2 Herstellererklärung funktionale Eignung

In diesem Abschnitt sind alle funktionalen und nichtfunktionalen Festlegungen verzeichnet, deren durchgeführte bzw. geplante Umsetzung und Beachtung der Hersteller bzw. der Anbieter durch eine Herstellererklärung bestätigt bzw. zusagt.

Tabelle 5: Festlegungen zur funktionalen Eignung "Herstellererklärung"

ID Bezeichnung Quelle (Referenz)
A_17124-03 TLS-Verbindungen (ECC-Migration) gemSpec_Krypt
A_17322 TLS-Verbindungen nur zulässige Ciphersuiten und TLS-Versionen (ECC-Migration) gemSpec_Krypt
A_17775 TLS-Verbindungen Reihenfolge Ciphersuiten (ECC-Migration) gemSpec_Krypt
GS-A_4357-02 X.509-Identitäten für die Erstellung und Prüfung digitaler nicht-qualifizierter elektronischer Signaturen gemSpec_Krypt
GS-A_4359-02 X.509-Identitäten für die Durchführung einer TLS-Authentifizierung gemSpec_Krypt
GS-A_4361-02 X.509-Identitäten für die Erstellung und Prüfung digitaler Signaturen gemSpec_Krypt
GS-A_4367 Zufallszahlengenerator gemSpec_Krypt
GS-A_5322 Weitere Vorgaben für TLS-Verbindungen gemSpec_Krypt
A_25335 Hersteller Clientsystem - Hinweise und Maßnahmen sicherer Betrieb gemSpec_ZETA
A_25336 Hersteller Clientsystem - Regelmäßige Updates gemSpec_ZETA
A_25339 ZETA Client - Exponential Backoff gemSpec_ZETA
A_25427 Hersteller Clientsystem Android - Google Cloud Projekt gemSpec_ZETA
A_25732 ZETA Client - Unterstützung des Nutzers bei der Registrierung gemSpec_ZETA
A_25734 ZETA Client - Zugriffsprotokoll Clientregistrierung gemSpec_ZETA
A_25787 ZETA Guard-Komponenten - Gewährleistung der Systemintegrität während Aktualisierungen gemSpec_ZETA
A_25800 ZETA Guard-Komponenten - Benachrichtigung bei Fehlern gemSpec_ZETA
A_25840 ZETA Guard - Sichere interne Kommunikation gemSpec_ZETA
A_26038 PDP, Konfigurations-Parameter gemSpec_ZETA
A_26519 ZETA Guard, Unterstützung von Service-Mesh Lösungen gemSpec_ZETA
A_26521 ZETA Guard, Unterstützung von Canary Releases gemSpec_ZETA
A_27385 ZETA Guard-Komponenten - Abbildung von Produkt- und Konfigurationsversionen gemSpec_ZETA
A_27494 Telemetrie-Daten Service, Custom Collector für Selbstauskunft gemSpec_ZETA

3.2 Festlegungen zur betrieblichen Eignung

3.2.1 Prozessprüfung betriebliche Eignung

Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben verzeichnet sind, muss deren Erfüllung im Rahmen von Prozessprüfungen nachgewiesen werden. 

Tabelle 6: Festlegungen zur betrieblichen Eignung "Prozessprüfung"

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

3.2.2 Herstellererklärung betriebliche Eignung

Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben der Aufbauorganisation sowie der Umgebung verzeichnet sind, muss der Hersteller deren Umsetzung und Beachtung durch eine Herstellererklärung bestätigen bzw. zusagen. 

Tabelle 7: Festlegungen zur betrieblichen Eignung "Herstellererklärung"

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

3.2.3 Betriebshandbuch betriebliche Eignung

Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben der Aufbauorganisation sowie der Umgebung verzeichnet sind, muss der Hersteller deren Umsetzung und Beachtung durch die Vorlage des Betriebshandbuches nachweisen.  

Der Umfang und Inhalt des Betriebshandbuches ist der Definition in der Richtlinie Betrieb [gemRL_Betr_TI] zu entnehmen. 

Tabelle 8: Festlegungen zur betrieblichen Eignung "Betriebshandbuch"

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

3.3 Festlegungen zur sicherheitstechnischen Eignung

3.3.1 Herstellererklärung sicherheitstechnische Eignung

Sofern in diesem Abschnitt Festlegungen verzeichnet sind, muss der Hersteller bzw. der Anbieter deren Umsetzung und Beachtung zum Nachweis der sicherheitstechnischen Eignung durch eine Herstellererklärung bestätigen bzw. zusagen.

Tabelle 9: Festlegungen zur sicherheitstechnischen Eignung "Herstellererklärung"

ID Bezeichnung Quelle (Referenz)
A_17178 Produktentwicklung: Basisschutz gegen OWASP Top 10 Risiken gemSpec_DS_Hersteller
A_17179 Auslieferung aktueller zusätzlicher Softwarekomponenten gemSpec_DS_Hersteller
A_19163 Rechte der gematik zur sicherheitstechnischen Prüfung des Produktes gemSpec_DS_Hersteller
A_19164 Mitwirkungspflicht bei Sicherheitsprüfung gemSpec_DS_Hersteller
A_19165 Auditrechte der gematik zur Prüfung der Herstellerbestätigung gemSpec_DS_Hersteller
A_22984 Unverzügliche Bewertung von Schwachstellen gemSpec_DS_Hersteller
A_22985 Bereitstellung der Bewertung von Schwachstellen gegenüber der gematik gemSpec_DS_Hersteller
A_22986 Meldung von erheblichen Schwachstellen und Bedrohungen gemSpec_DS_Hersteller
A_23029 Bereitstellung von Updates abhängig von der Kritikalität der Schwachstellen gemSpec_DS_Hersteller
A_23445 Beteiligung der Hersteller am Coordinated Vulnerability Disclosure Programm gemSpec_DS_Hersteller
GS-A_2330-02 Hersteller: Schwachstellen-Management gemSpec_DS_Hersteller
GS-A_2350-01 Produktunterstützung der Hersteller gemSpec_DS_Hersteller
GS-A_2354-01 Produktunterstützung mit geeigneten Sicherheitstechnologien gemSpec_DS_Hersteller
GS-A_2525-01 Hersteller: Schließen von Schwachstellen gemSpec_DS_Hersteller
GS-A_4944-01 Produktentwicklung: Behebung von Sicherheitsmängeln gemSpec_DS_Hersteller
GS-A_4945-01 Produktentwicklung: Qualitätssicherung gemSpec_DS_Hersteller
GS-A_4946-01 Produktentwicklung: sichere Programmierung gemSpec_DS_Hersteller
GS-A_4947-01 Produktentwicklung: Schutz der Vertraulichkeit und Integrität gemSpec_DS_Hersteller
A_17124-03 TLS-Verbindungen (ECC-Migration) gemSpec_Krypt
A_17322 TLS-Verbindungen nur zulässige Ciphersuiten und TLS-Versionen (ECC-Migration) gemSpec_Krypt
A_18986 Fachdienst-interne TLS-Verbindungen gemSpec_Krypt
GS-A_4357-02 X.509-Identitäten für die Erstellung und Prüfung digitaler nicht-qualifizierter elektronischer Signaturen gemSpec_Krypt
GS-A_4359-02 X.509-Identitäten für die Durchführung einer TLS-Authentifizierung gemSpec_Krypt
GS-A_4361-02 X.509-Identitäten für die Erstellung und Prüfung digitaler Signaturen gemSpec_Krypt
GS-A_4368 Schlüsselerzeugung gemSpec_Krypt

3.3.2 Produktgutachten

Die in diesem Abschnitt verzeichneten Festlegungen sind Gegenstand der Prüfung der Sicherheitseignung gemäß [gemRL_PruefSichEig_DS]. Das entsprechende Produktgutachten ist der gematik vorzulegen.

Tabelle 10: Festlegungen zur sicherheitstechnischen Eignung "Produktgutachten"

ID Bezeichnung Quelle (Referenz)
A_18467 TLS-Verbindungen, Version 1.3 gemSpec_Krypt
A_26920 ZETA/ASL mindestens HTTP-Version 1.1 gemSpec_Krypt
A_26921 ZETA/ASL: ZETA/ASL-Schlüssel für die ASL-Protokoll-Schlüsselaushandlung gemSpec_Krypt
A_26922 ZETA/ASL: Verfügbarmachung des AUT-ZETA/ASL-Zertifikats plus Prüfkette gemSpec_Krypt
A_26923 ZETA/ASL: ZETA/ASL-Client Prüfbasis Zertifikatsprüfung gemSpec_Krypt
A_26924 ZETA/ASL: ZETA/ASL-Server, Erzeugung von Fehlermeldungen gemSpec_Krypt
A_26925 ZETA/ASL: ZETA/ASL-Client, Verarbeitung von Fehlermeldungen gemSpec_Krypt
A_26926 ZETA/ASL: ZETA/ASL-Client, Verschlüsselungszähler gemSpec_Krypt
A_26927 ZETA/ASL: ZETA/ASL-Client: Request erzeugen/verschlüsseln gemSpec_Krypt
A_26928 ZETA/ASL: ZETA/ASL-Server: Request entschlüsseln/auswerten gemSpec_Krypt
A_26929 ZETA/ASL: ZETA/ASL-Server, Verschlüsselungszähler gemSpec_Krypt
A_26930 ZETA/ASL: ZETA/ASL-Server, Response erstellen/verschlüsseln gemSpec_Krypt
A_26931 ZETA/ASL: ZETA/ASL-Client, Response entschlüsseln/auswerten gemSpec_Krypt
A_26932 ZETA/ASL: ZETA/ASL-Client, Nachricht 1 gemSpec_Krypt
A_26933 ZETA/ASL-Protokoll: ZETA/ASL-Server: Erhalt von Nachricht 1 gemSpec_Krypt
A_26934 ZETA/ASL-Protokoll: AES/GCM-Verschlüsselung im Handshake gemSpec_Krypt
A_26935 ZETA/ASL-Protokoll: ZETA/ASL-Server: Nachricht 2 gemSpec_Krypt
A_26936 ZETA/ASL-Protokoll: ZETA/ASL-Client: Erhalt von Nachricht 2 gemSpec_Krypt
A_26937 ZETA/ASL-Protokoll: ZETA/ASL-Client: Nachricht 3 gemSpec_Krypt
A_26938 ZETA/ASL-Protokoll: ZETA/ASL-Client: Prüfung der "signierten öffentlichen ZETA/ASL-Schlüssel" gemSpec_Krypt
A_26939 ZETA/ASL-Protokoll: ZETA/ASL-Server: Erhalt von Nachricht 3 gemSpec_Krypt
A_26940 ZETA/ASL-Protokoll: ZETA/ASL-Server: Nachricht 4 gemSpec_Krypt
A_26941 ZETA/ASL-Protokoll: ASL/ZT-Client: Erhalt von Nachricht 4 gemSpec_Krypt
A_26942 ZETA/ASL-Client, Nichtproduktivumgebung, Offenlegung von symmetrischen Verbindungsschlüsseln gemSpec_Krypt
A_26943 ZETA/ASL-Server, Nichtproduktivumgebung, Ablehnung von nonPU-Chiffraten in der PU gemSpec_Krypt
GS-A_4367 Zufallszahlengenerator gemSpec_Krypt
GS-A_4384-03 TLS-Verbindungen gemSpec_Krypt
GS-A_4385 TLS-Verbindungen, Version 1.2 gemSpec_Krypt
GS-A_4387 TLS-Verbindungen, nicht Version 1.0 gemSpec_Krypt
GS-A_4393 Algorithmus bei der Erstellung von Hashwerten von Zertifikaten oder öffentlichen Schlüsseln gemSpec_Krypt
GS-A_5016 Symmetrische Verschlüsselung binärer Daten gemSpec_Krypt
GS-A_5035 Nichtverwendung des SSL-Protokolls gemSpec_Krypt
A_25401 Zero Trust-Komponenten - Darstellung der Voraussetzungen für sicheren Betrieb des Produkts im Betriebshandbuch gemSpec_ZETA
A_25402 Zero Trust-Komponenten - Schutz der transportierten Daten gemSpec_ZETA
A_25403 Zero Trust-Komponenten - Schutzmaßnahmen gegen die OWASP Top 10 Risiken gemSpec_ZETA
A_25404 Zero Trust-Komponenten - Angriffe erkennen gemSpec_ZETA
A_25405 Zero Trust-Komponenten - Angriffen entgegenwirken gemSpec_ZETA
A_25406 Zero Trust-Komponenten - Eingabe Validierung von Operationen gemSpec_ZETA
A_25407 Zero Trust-Komponenten - Sicherheitstechnische Validierung von Policy und Konfigurationen gemSpec_ZETA
A_25409 Zero Trust-Komponenten - Privacy by Design gemSpec_ZETA
A_25410 Zero Trust-Komponenten - Verbot von Werbe- und Usability-Tracking gemSpec_ZETA
A_25411 Zero Trust-Komponenten - Verbot vom dynamischen Inhalt gemSpec_ZETA
A_25412 Zero Trust-Komponenten - Zusätzliche Verschlüsselung bei der Persistierung gemSpec_ZETA
A_25445 PEP - Zugriffsentscheidung nur über PDP gemSpec_ZETA
A_25447 PDP Authorization Server - Kommunikation nur mit authentischer Policy Engine gemSpec_ZETA
A_25449 PDP- Nutzeridentität nur von einem zugelassenem IDP gemSpec_ZETA
A_25451 PDP - Integritätsprüfung der Policies gemSpec_ZETA
A_25486 PDP - Abbruch durch Anomalie Signale gemSpec_ZETA
A_25490 PDP - Sicherheitsmeldung bei Änderungen und Aktualisierung gemSpec_ZETA
A_25666 ZETA Guard - TLS Terminierung gemSpec_ZETA
A_25667 PEP HTTP Proxy - Verifikation Access Token Binding gemSpec_ZETA
A_25668 PEP HTTP Proxy - Access Token Validierung gemSpec_ZETA
A_25718 Zero Trust-Komponenten - Bereitstellung Security-KPIs gemSpec_ZETA
A_25744 Zero Trust-Komponenten - Datenschutzkonformes Logging und Monitoring gemSpec_ZETA
A_25745 Zero Trust-Komponenten - Keine medizinischen Informationen in Logging und Monitoring gemSpec_ZETA
A_25746 Zero Trust-Komponenten - Keine sicherheitsrelevanten Daten in Logging und Monitoring gemSpec_ZETA
A_25749 PDP Client Registry - Nutzer Protokollierung gemSpec_ZETA
A_25750 PDP Client Registry - Nutzer über sicherheitsrelevante Ereignisse informieren gemSpec_ZETA
A_25751 PDP Client Registry - Anwendungsfälle nur für registrierte mobile Clients gemSpec_ZETA
A_25754 PDP Client Registry - Notfall-Recovery-Prozess für Nutzer gemSpec_ZETA
A_25771 PDP - Automatisierte Prüfung nach Policy-Aktualisierungen gemSpec_ZETA
A_25774 PDP - Löschfristen für Auditeinträge des Admin Audit-Logs gemSpec_ZETA
A_25802 ZETA Client - Einhaltung der BSI [TR-03161-1] gemSpec_ZETA
A_26064 Access Token bei Monitoring-Signalen sperren gemSpec_ZETA
A_26269 PDP - Tamper-Proof Protokollierung von Administrationsaktivitäten gemSpec_ZETA
A_26477 PEP HTTP Proxy - PoPP Token Validierung gemSpec_ZETA
A_26479 Zero Trust-Komponenten - Ordnungsgemäße Änderung von Konfigurationen gemSpec_ZETA
A_26480 PEP HTTP Proxy - Umsetzen eines ZETA/ASL-Kanals gemSpec_ZETA
A_26493 PEP HTTP Proxy - Umgang mit JWKS des Popp Servers gemSpec_ZETA
A_26517 Zero Trust-Komponenten - Unterstützung von mTLS gemSpec_ZETA
A_26560 PEP HTTP Proxy - Weiterleitungskonfiguration gemSpec_ZETA
A_26664 PDP - Durchsetzung der Policy-Konfiguration gemSpec_ZETA
A_26681 ZETA Client - Umsetzen eines ZETA/ASL-Kanals gemSpec_ZETA
A_26946 PEP HTTP Proxy - Verwaltung der ZETA/ASL-Kanal Schlüssel in der PEP Datenbank gemSpec_ZETA
A_26947 PEP Datenbank - Zugriff nur für den PEP HTTP Proxy gemSpec_ZETA

3.3.3 Sicherheitsgutachten

Die in diesem Abschnitt verzeichneten Festlegungen sind Gegenstand der Prüfung der Sicherheitseignung gemäß [gemRL_PruefSichEig_DS]. Das entsprechende Sicherheitsgutachten ist der gematik vorzulegen.

Tabelle 11: Festlegungen zur sicherheitstechnischen Eignung "Sicherheitsgutachten"

ID Bezeichnung Quelle (Referenz)
A_19147 Sicherheitstestplan gemSpec_DS_Hersteller
A_19148 Sicherheits- und Datenschutzkonzept gemSpec_DS_Hersteller
A_19150 Umsetzung Sicherheitstestplan gemSpec_DS_Hersteller
A_19151 Implementierungsspezifische Sicherheitsanforderungen gemSpec_DS_Hersteller
A_19152 Verwendung eines sicheren Produktlebenszyklus gemSpec_DS_Hersteller
A_19153 Sicherheitsrelevanter Softwarearchitektur-Review gemSpec_DS_Hersteller
A_19154 Durchführung einer Bedrohungsanalyse gemSpec_DS_Hersteller
A_19155 Durchführung sicherheitsrelevanter Quellcode-Reviews gemSpec_DS_Hersteller
A_19156 Durchführung automatisierter Sicherheitstests gemSpec_DS_Hersteller
A_19157 Dokumentierter Plan zur Sicherheitsschulung für Entwickler gemSpec_DS_Hersteller
A_19158 Sicherheitsschulung für Entwickler gemSpec_DS_Hersteller
A_19159 Dokumentation des sicheren Produktlebenszyklus gemSpec_DS_Hersteller
A_19160 Änderungs- und Konfigurationsmanagementprozess gemSpec_DS_Hersteller
A_19162 Informationspflicht bei Veröffentlichung neue Produktversion gemSpec_DS_Hersteller
A_25400 Zero Trust-Komponenten - Umsetzung Sicherer Softwareentwicklungsprozess gemSpec_ZETA
A_25769 ZETA Client - Client Credentials sicher generieren und schützen gemSpec_ZETA
A_25770 ZETA Client - Client Credentials Rotation gemSpec_ZETA

3.4 Festlegungen zur elektrischen, mechanischen und physikalischen Eignung

Der Zulassungsgegenstand erfordert den Nachweis der elektrischen, mechanischen und physikalischen Eignung. Sofern dabei spezifische Festlegungen der gematik zu beachten sind, werden diese nachfolgend aufgeführt. Der Nachweis erfolgt durch die Vorlage des Prüfberichts.

Tabelle 12: Festlegungen zur elektrischen, mechanischen und physikalischen Eignung

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

4 Anhang – Verzeichnisse

4.1 Abkürzungen

Kürzel
 Erläuterung
ID Identifikation
CC
 Common Criteria

4.2 Tabellenverzeichnis